Systemregulierung und Datenschutz zusammen prüfen

1. Systemregulierung und Datenschutz zusammen prüfen

1. Zweck und Anwendungsfall

Arbeite an der Freigabe, Beschaffung oder laufenden Nutzung eines konkreten Systems. Eine Konformitätserklärung ersetzt weder Datenschutzgrundlage noch menschliche Entscheidung. Die Verordnung (EU) 2026/1744 und das deutsche KI-MIG sind geltendes Recht; COM(2025) 837 ist ein gesondertes laufendes Gesetzgebungsverfahren.

2. Eingaben

Lies Systembeschreibung, Zweck, Einführungsdatum, Modell- und Anbieterangaben, Datenfluss, Vertrag und vorhandene Folgenabschätzungen. Bei konkretem Auftrag sofort am gewünschten Dokument arbeiten. Nur fehlende Weichen wie neue Zweckbestimmung oder Zugriff auf sensible Daten gesammelt nachfragen.

3. Ablauf

1. Anwendungsbereich und Rollen nach Artikeln 2 und 3 der Verordnung (EU) 2024/1689 bestimmen. Anbieter, Betreiber, Importeur, Händler und Bevollmächtigter nicht mit Verantwortlichem und Auftragsverarbeiter gleichsetzen. Bei Änderung Artikel 25 gesondert prüfen.
2. Artikel 5 zuerst: bisherige Verbote und neue Tatbestände für intime Inhalte beziehungsweise Missbrauchsdarstellungen ab 2. Dezember 2026 unterscheiden. Offenlegung heilt kein Verbot.
3. Artikel 6 Absatz 1 mit Anhang I und Absatz 2 mit Anhang III getrennt prüfen. Bei Absatz 3 Ausnahme und Rückausnahme für Profiling dokumentieren; keine bloße Herstellerbehauptung übernehmen.
4. Kalender nach Artikel 113 neuer Fassung: Kapitel III Abschnitte 1 bis 3 außer Artikel 6 Absatz 5 für Anhang III ab 2. Dezember 2027, für Anhang I ab 2. August 2028. Andere Vorschriften nicht pauschal verschieben. GPAI und Artikel 111 mit System- beziehungsweise Modellbestand separat führen.
5. Artikel 50 grundsätzlich seit 2. August 2026: technische Anbieterkennzeichnung und Betreiberhinweis auseinanderhalten. Nachholfrist bis 2. Dezember 2026 nur nach Artikel 111 Absatz 4 für Absatz 2 bei vorher vermarkteten Systemen.
6. Datenschutzgrundlage nach Artikeln 6 und 9, Zweckbindung, Informationspflichten, Löschung, Sicherheit und gegebenenfalls Drittlandstransfer prüfen. Artikel 4a der Systemverordnung gestattet sensible Daten nur zur unbedingt erforderlichen Verzerrungskorrektur mit sämtlichen Sicherungen; Absatz 1 für Hochrisikoanbieter und Absatz 2 für weitere Akteure gesondert prüfen. Keine pauschale Trainingserlaubnis.
7. Datenschutz-Folgenabschätzung nach Artikel 35, Grundrechte-Folgenabschätzung nach Artikel 27 der Systemverordnung und Risikomanagement nach Artikel 9 der Systemverordnung als verschiedene Instrumente behandeln. Vorhandene Analyse wiederverwenden, fehlende Perspektive ergänzen. Nicht jedes Hochrisikosystem löst für jeden Betreiber automatisch Artikel 27 aus.
8. Artikel 22 der Datenschutz-Grundverordnung: tatsächliche menschliche Mitwirkung, erhebliche Entscheidungswirkung, Ausnahmegrund und Schutzmaßnahmen prüfen. Eine formale Unterschrift allein macht einen automatisierten Vorgang nicht menschlich.
9. Kompetenzförderung nach Artikel 4 neuer Fassung planen: kontextgerechte Maßnahmen ohne Garantie eines individuellen Niveaus. Menschliche Hochrisikoaufsicht nach Artikel 26 Absatz 2 bleibt eine gesonderte Anforderung.
10. Deutsche Zuständigkeit nach Paragraf 2 KI-MIG prüfen: Bundesnetzagentur grundsätzlich, Produkt-, Finanz-, Landes- und Medienausnahmen im konkreten Fall. Datenschutzaufsicht daneben nach Artikeln 55 und 56 bestimmen. EU-Sonderaufsicht nach Artikeln 75 ff. und 88 ff. beachten.

Für eine Freigabe technische Nachweise und konkrete Befugnisse abgleichen. Die Verordnung verlangt nicht pauschal eine Begutachtung jedes Systems durch eine benannte Stelle; den richtigen Weg nach Artikel 43 und Anhang VI beziehungsweise VII prüfen. Eine vereinfachte Registrierung ist kein Wegfall jeder Registrierung.

4. Quellenpflicht

Rechtsstandkarte, Zitierweise. Normfassung und Ereignisdatum dokumentieren. Die vorgeschlagenen 96 Stunden bei Datenschutzverletzungen gelten nicht: Artikel 33 bleibt bei unverzüglicher Meldung, möglichst binnen 72 Stunden; Betroffeneninformation nach Artikel 34 ist eine andere Prüfung. Vorgeschlagene Verzeichnisschwellen nicht vorwegnehmen.

5. Ausgabeformat

Vollständig ausformulierter Freigabe- oder Beanstandungsvermerk mit sechs Spalten: Funktion, Rolle, Rechtsregime, Tatbestand, Nachweis, nächste Maßnahme. Bei Beschaffung konkrete Vertragsänderung, bei Vorfall adressierte Meldung, bei risikobehafteter Nutzung begründete Freigabesperre formulieren. Keine pauschale Konformitätsbescheinigung ohne belastbare Nachweise. Times New Roman 11 pt und dezimale Gliederung; bei Textausgabe Exporthinweis. Keine automatische Einreichung.

6. Beispiele

Ein Bewerber-Ranking wird auf Hochrisiko, Diskriminierung und automatisierte Entscheidung geprüft, auch wenn Hochrisikopflichten noch vorbereitet werden. Bei einem Support-Chatbot können Transparenz und Datenschutz schon aktuell greifen. Ein Bias-Test mit Gesundheitsdaten benötigt eine eigenständige Artikel-4a-Prüfung und ist kein Freibrief für allgemeines Modelltraining.